Spørgsmål og svar om sikkerhedstest for ledelsen

Skal vores virksomhed overhovedet have lavet en sikkerhedstest?

Det afhænger af, om ledelsen har et spørgsmål, som kun en afprøvning kan besvare, og om virksomheden kan handle på svaret. Se på, hvad testen skal bruges til, hvad der står på spil, om kunder eller andre stiller krav, og hvem der skal følge op. Er der ikke plads til rettelserne, bør den del komme på plads først. → Skal vi have lavet en penetrationstest?

Hvad får vi som ledelse ud af det?

Et uafhængigt billede af, hvor virksomheden kan rammes, og hvad det vil betyde for forretningen. Resultatet giver grundlag for at prioritere rettelser og budget, for at svare kunder og forsikring ærligt og for at følge op på tidligere investeringer. Testen giver ikke en garanti for, at intet kan ske. → Hvad får ledelsen ud af en penetrationstest?

IT siger, at alt er i orden. Er det ikke nok?

Det kan sagtens være rigtigt, men ledelsen bør kunne se, hvad udsagnet hviler på. Spørg, hvornår sikkerheden sidst blev afprøvet af nogen, der ikke selv har sat systemerne op, og hvad den afprøvning dækkede. Et ærligt svar fra IT gør det lettere for ledelsen at stå inde for sikkerheden over for andre. → IT siger, at alt er i orden

Er vi ikke for små til en penetrationstest?

Størrelsen afgør ikke, om virksomheden kan blive ramt. Det afgørende er, hvor afhængig forretningen er af sine systemer og data, og hvad der kan nås udefra. En mindre virksomhed kan nøjes med en afgrænset test af det vigtigste, så omfanget står mål med det, der står på spil. → Står en penetrationstest mål med vores størrelse?

Hvad koster det?

Det afhænger af omfanget, og omfanget afhænger af ledelsens egne valg: hvad der skal med, hvor grundigt, og hvornår resultatet skal bruges. Jo skarpere spørgsmålet er, desto lettere er det at afgrænse opgaven. Tilbuddet fra Nielco IT gælder altid den konkrete opgave; hvordan opgaverne prissættes, står under pris og tilbud. → Hvad bestemmer omfanget?

Kan testen laves med kort varsel?

Nogle gange, men det kræver, at testeren og jeres egne folk flytter andre opgaver, og at omfanget bliver afklaret hurtigt. Hos Nielco IT koster hastesager ekstra, og det bør ledelsen vide, før der siges ja. Hvordan opgaverne prissættes, står under pris og tilbud. → Testen skal ligge i morgen

Hvad hvis resultatet er dårligt?

Så har testen gjort sit arbejde. Fundene viser, hvor sikkerheden mangler opmærksomhed, og de er ikke en dom over de enkelte ansatte. Det vigtige er, at ledelsen på forhånd har besluttet, hvordan fundene behandles, og hvem der fortæller bestyrelsen om dem. → Det første testresultat

Skal testen bestås?

Nej. En sikkerhedstest er ikke en eksamen, og et resultat uden fund er ikke nødvendigvis et godt tegn. Behandles testen som noget, der skal bestås, bliver omfanget let gjort mindre, og svaghederne forbliver ukendte. Brug den i stedet til at finde det, der skal rettes, før andre finder det. → Testen skal bestås: en misforståelse

Hvem i ledelsen skal eje testen?

Én navngiven person i direktionen, som har mandat til at prioritere og budget til at handle. IT kan stå for det praktiske, men ejeren sørger for, at formålet er klart, at resultatet når ledelsen, og at opfølgningen ikke løber ud i sandet. → Hvem i ledelsen skal eje sikkerhedstesten?

Kan vores IT-leverandør ikke bare selv teste?

Det kan den godt, men så vurderer leverandøren sit eget arbejde. Et resultat fra en part, der ikke har bygget eller drevet systemerne, er lettere for ledelsen at stole på og lettere at vise frem over for kunder og bestyrelse. Leverandøren skal stadig inddrages og give tilladelse, hvor systemerne ligger hos den. → IT-leverandøren tilbyder selv at teste

Hvad bør bestyrelsen spørge om?

Hvad der blev testet, og hvad der blev holdt udenfor. Hvilke fund der har betydning for forretningen, hvem der ejer rettelserne, og hvornår bestyrelsen hører om status igen. Spørgsmålene kræver ingen teknisk viden, kun at svarene kommer i et sprog, bestyrelsen kan handle på. → Spørgsmål, bestyrelsesmedlemmer kan stille

Hvordan ved ledelsen, at fundene bliver rettet?

Ved at bede om en status, der viser hvert alvorligt fund med ejer, plan og dato, og ved at bede om dokumentation, når et fund er lukket. En efterprøvning af de vigtigste rettelser giver et sikrere svar end en mundtlig forsikring. Fund, der ikke rettes, bør være et bevidst valg i ledelsen. → Bliver fundene faktisk rettet?

Kan testresultatet bruges imod os?

En rapport beskriver svagheder, og derfor skal det aftales på forhånd, hvem der får den, og hvordan den opbevares. Den største risiko ligger ikke nødvendigvis i, at svaghederne er beskrevet, men i at de er kendt og ikke håndteret. Spørgsmål om jeres konkrete forpligtelser hører hjemme hos jeres egen juridiske rådgiver. → Kan testresultatet bruges imod os?

En vigtig kunde vil se dokumentation for vores sikkerhed. Hvad gør vi?

Find ud af, hvad kunden egentlig vil vide, og svar kun med det, I kan dokumentere. En plan med en dato er et bedre svar end et løfte, der ikke holder. Husk, at det er ledelsen, der står inde for svaret, også når IT har skrevet det. → Kunderne spørger til vores sikkerhed

Erstatter en cyberforsikring en sikkerhedstest?

Nej. En forsikring kan dække noget af tabet efter en hændelse, men den gør ikke virksomheden sværere at ramme. Forsikringsselskabet kan spørge til, hvordan sikkerheden er afprøvet, og ledelsen skal kunne stå inde for svarene i skemaet. Hvad policen dækker, afgør aftalen med selskabet. → Forsikring eller sikkerhedstest?

Hvad betyder NIS2 for os i ledelsen?

NIS2 lægger ansvar på ledelsen i de virksomheder, der er omfattet, og regler om afprøvning af sikkerheden kan være en del af det. Om jeres virksomhed er omfattet, og hvad det konkret kræver, er et juridisk spørgsmål. Nielco IT giver ikke juridisk rådgivning, men kan teste det, I har brug for at få afprøvet. → NIS2 og ledelsen

Er der opgaver, I ikke påtager jer?

Ja. Vi påtager os ikke opgaver i straffesager eller for personer med kriminelle relationer, og heller ikke for personer, der er politianmeldt eller sigtet i sager om økonomisk kriminalitet. En virksomhed, hvor ledelsen vil undersøge forhold i sin egen organisation, hjælper vi gerne. → Det påtager vi os ikke

Behandler I resultatet fortroligt?

Ja. Rapporten tilhører opdragsgiveren, når opgaven er betalt, og Nielco IT underskriver fortrolighedsaftale (NDA) på forespørgsel. Hvem i jeres egen organisation der skal se resultatet, er en beslutning, ledelsen bør træffe, før testen begynder. → Hvem i virksomheden skal kende resultatet?

→ Kontakt · Tlf. 70 13 63 23